CVE-2026-110674
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Wersje Cpanel::JSON::XS od 4.33 przed 4.80 dla Perla tracą zduplikowane, gołe klucze inne niż ASCII, co pozwala na pomyłkę typów w dupkeys_as_arrayref w decode_hv.
W przypadku opcjiallow_barekey, która umożliwia opcję Relaxed, czysty klucz zawierający bajt inny niż ASCII jest przechowywany jako UTF-8, ale sprawdzany jako nieprzetworzone bajty, więc powtarzany klucz wymyka się kontroli duplikatu klucza i zastępuje wcześniejszą wartość.
Od wersji 4.41 w dupkeys_as_arrayref samo powtórzenie zastępuje tablicę zbierającą wartości klucza zwykłą wartością, a następne powtórzenie w cudzysłowie przesuwa tę wartość tak, jakby była tablicą. Liczba całkowita JSON jest tam dereferowana jako wskaźnik.
Niezaufany kod JSON zdekodowany za pomocą zrelaksowanego i dupkeys_as_arrayref może spowodować awarię procesu lub wyrejestrowanie adresu wybranego przez numer JSON.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org